Co zapominają strony: 30% bez żadnego nagłówka ochrony

Bezpieczeństwo strony często sprowadza się do drobnych ustawień, do których nikt nie dotarł: brakującego nagłówka, niezabezpieczonej domeny pocztowej, wtyczki nieaktualizowanej od roku. Sprawdziliśmy, co łączy 215 stron przeskanowanych naszym bezpłatnym skanerem PromoPilot Shield, i obraz okazał się bardziej zwyczajny, a przy tym łatwiejszy do naprawienia, niż można by sądzić.

Dane: skany z 16.07–06.11.2026, aktualizacja 06.11.2026

O próbie

To 215 unikalnych stron, które właściciele lub specjaliści sami wysłali do sprawdzenia w Shield między 16 lipca a 6 listopada 2026 roku. Próba nie jest losowa, więc wszystko poniżej opisuje naszą próbę, a nie internet jako całość. Szczegóły są w sekcji „Metodologia” na końcu.

Nagłówki bezpieczeństwa: najtańsza ochrona, którą strony pomijają

Nagłówki bezpieczeństwa to krótkie instrukcje, które serwer wysyła przeglądarce razem z każdą stroną. Nic nie kosztują i zwykle wymagają jednej linijki w konfiguracji. Oto do czego służy sześć sprawdzanych przez nas nagłówków:

• Strict-Transport-Security (HSTS) nakazuje przeglądarkom zawsze łączyć się z Twoją domeną przez HTTPS, co pomaga zapobiegać atakom z obniżeniem protokołu.
• Content-Security-Policy (CSP) wylicza źródła, z których strona może ładować skrypty, i ogranicza skutki wstrzykniętego kodu.
• X-Frame-Options uniemożliwia innym stronom osadzanie Twoich podstron w ukrytej ramce (clickjacking).
• X-Content-Type-Options zabrania przeglądarkom zgadywania typu pliku, co zamyka jedną z dróg dla zamaskowanych skryptów.
• Referrer-Policy kontroluje, jaka część adresu Twojej strony jest przekazywana innym witrynom.
• Permissions-Policy wyłącza funkcje przeglądarki, takie jak kamera czy geolokalizacja, których Twoje strony nie potrzebują.

Brakujące nagłówki zwykle występują całymi pakietami. Najczęstszy pojedynczy wynik to brak wszystkich sześciu: 65 stron. Drugi w kolejności to komplet sześciu: 38 stron. Pomiędzy nimi 22 stronom brakuje jednego nagłówka, 26 dwóch, 13 trzech, 15 czterech i 36 pięciu. Innymi słowy, strony rzadko dodają nagłówki po jednym: mają albo przemyślaną konfigurację, albo nic.

HSTS jest najczęściej wdrażany z całej szóstki, a mimo to brakuje go na 46% stron (99 z 215). Content-Security-Policy najtrudniej skonfigurować poprawnie, więc 65% (140 z 215) jest zrozumiałe, ale prostsze nagłówki nie mają takiego usprawiedliwienia.

Poczta: kto może wysyłać maile w Twoim imieniu

Rekordy pocztowe znajdują się w DNS, a nie na stronie, dlatego tak często się o nich zapomina. SPF wymienia serwery uprawnione do wysyłania poczty z Twojej domeny. DMARC mówi serwerom odbiorców, co zrobić z wiadomościami, które nie przeszły weryfikacji. Bez obu rekordów każdy może wysłać maila wyglądającego tak, jakby pochodził od Ciebie.

W naszej próbie 49% domen (105 z 215) nie miało rekordu DMARC. Kolejne 33% (71) miało go ustawionego na p=none, który tylko zbiera raporty i niczego nie blokuje. Daje to 82% (176 z 215) bez ścisłego DMARC (ścisły DMARC: p=quarantine lub p=reject). SPF brakowało u 28% (60 z 215). Dla firmy skutki są konkretne: fałszywe faktury albo maile do resetu hasła trafiające do klientów pod nazwą Twojej domeny, a Twoje prawdziwe wiadomości częściej lądują w spamie.

Dwa inne rekordy brakowały niemal wszędzie: CAA (93%, 200 z 215) i MTA-STS (71%, 152 z 215). CAA ogranicza, które urzędy mogą wystawiać certyfikaty dla Twojej domeny; MTA-STS wymusza szyfrowane dostarczanie poczty przychodzącej. Oba warto mieć, ale w typowej małej witrynie ryzyko jest niskie. DMARC poprawilibyśmy na długo przed nimi.

WordPress kontra reszta

Strony na WordPressie w naszej próbie (n=50) wyraźnie różnią się od pozostałych 165 stron.

To nie wyrok na sam WordPress. To najpopularniejszy CMS na świecie, więc jest też najdokładniej przebadana: otwarta baza podatności WordPressa, na której opiera się nasz skaner, zawiera 1 797 wpisów o wtyczkach i 84 o motywach. Dopasowania pochodzą z nieaktualnych wersji wtyczek, motywów i rdzenia. Jedno zastrzeżenie co do 4%: dla wtyczek i motywów WordPressa skaner ma szczegółową bazę podatności, a dla innych platform sprawdza głównie biblioteki JavaScript i oprogramowanie serwerowe, więc różnica częściowo odzwierciedla to, co potrafimy zobaczyć, a nie tylko poziom bezpieczeństwa każdej platformy.

Pamiętaj, co oznacza tu „podatny komponent”: zainstalowana wersja mieści się w zakresie wskazanym w bazie. Nie sprawdzaliśmy, czy tę lukę da się faktycznie wykorzystać na danej stronie.

Ciasteczka i ujawnianie wersji

Ciasteczka i banery serwera to drobiazgi, które pomagają atakującemu się przygotować. W całej próbie 215 stron:

• 21% (45) ustawia ciasteczka bez HttpOnly, więc skrypty na stronie mogą je odczytać;
• 16% (35) ustawia ciasteczka bez Secure, więc mogą podróżować zwykłym HTTP;
• 19% (40) ustawia ciasteczka bez SameSite, co osłabia ochronę przed żądaniami między witrynami;
• 17% (36) wysyła nagłówek X-Powered-By z wersją, a 11% (24) pokazuje wersję serwera w nagłówku;
• 6% (13) nie przekierowuje odwiedzających z HTTP na HTTPS.

Żadna z tych rzeczy sama w sobie nie jest włamaniem. Razem oszczędzają atakującemu czas, a zamknąć je można w kilka minut.

Lista kontrolna na 30 minut

1. Dodaj teraz pięć nagłówków, CSP osobno (następny krok). Przykład dla Nginx (w bloku server):

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
   add_header X-Frame-Options "SAMEORIGIN" always;
   add_header X-Content-Type-Options "nosniff" always;
   add_header Referrer-Policy "strict-origin-when-cross-origin" always;
   add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

   Apache (.htaccess):

   Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
   Header always set X-Frame-Options "SAMEORIGIN"
   Header always set X-Content-Type-Options "nosniff"
   Header always set Referrer-Policy "strict-origin-when-cross-origin"
   Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"

   Content-Security-Policy dodaj na końcu, najpierw jako Content-Security-Policy-Report-Only, ponieważ może zepsuć skrypty, z których korzystasz.
2. Opublikuj rekord SPF, który wymienia tylko usługi faktycznie wysyłające Twoją pocztę.
3. Opublikuj DMARC. Zacznij od p=none i adresu na raporty, czytaj raporty przez kilka tygodni, potem przejdź do quarantine, a na końcu do reject.
4. Zaktualizuj wtyczki, motywy i rdzeń, a wszystko, czego nie używasz, usuń.
5. Ukryj wersję CMS i usuń X-Powered-By (expose_php = Off usuwa X-Powered-By w PHP, server_tokens off ukrywa wersję Nginx).
6. Ustaw HttpOnly, Secure i SameSite dla ciasteczek sesyjnych.
7. Przekieruj cały ruch z HTTP na HTTPS stałym przekierowaniem.

Sprawdzaj wynik po każdej zmianie, bo błędny nagłówek może zepsuć osadzenia, widżety płatności albo analitykę.

Sprawdź własną stronę

Gdzie stoi Twoja strona, zobaczysz dzięki bezpłatnemu skanowi w PromoPilot Shield (promopilot.link/pl/security/). To pasywna kontrola i punkt wyjścia, a nie ochrona sama w sobie: naprawienie znalezionych problemów nadal należy do Ciebie.

Metodologia

• Źródło: skany bezpłatnego skanera PromoPilot Shield od 16.07.2026 do 06.11.2026. Skaner jest pasywny: czyta odpowiedzi serwera, DNS oraz HTML strony głównej i ograniczonego zestawu adresów URL, bez prób włamania.
• Jednostka: strona (host bez www) z jej ostatnim udanym skanem. Z 285 uruchomień 272 zakończyły się powodzeniem, co dało 218 unikalnych stron; wykluczyliśmy 3 (konta testowe i strony PromoPilot), zostało 215.
• Platforma: wykrywana po śladach w odpowiedziach (generator, ścieżki, nagłówki): WordPress 50, Next.js 10, Shopify 7, Joomla, Wix i OpenCart po 3; dla 139 platforma jest niewykryta lub własna. Porównujemy tylko WordPressa (n=50) ze wszystkimi pozostałymi (n=165), bo inne grupy liczą mniej niż 20 stron.
• Podatny komponent: wersja wtyczki, motywu lub rdzenia mieści się w zakresie z otwartej bazy podatności WordPressa (1 797 wpisów o wtyczkach i 84 o motywach w naszym feedzie na 06.11.2026). To dopasowanie wersji; możliwości wykorzystania nie testowaliśmy.
• Sześć nagłówków: Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy; za brakujące uznajemy te, których nie ma na stronie głównej.
• Poczta: SPF i DMARC odczytujemy z DNS domeny. „Słaby DMARC” oznacza p=none albo rekord bez polityki.
• Oceny: skala Shield od A+ do E i wynik 0–100 ważą ustalenia według poziomu ryzyka.
• Ograniczenia: próba nie jest losowa: to strony, które właściciele lub specjaliści sami zdecydowali się wysłać (samoselekcja). Liczby opisują tę próbę, a nie cały internet. Według krajów: .com 84, .ua 24, pozostałe poniżej 20, więc krajów nie porównujemy. Nie publikujemy domen, tylko zagregowane dane dla grup co najmniej 20 stron.

FAQ

Które nagłówki bezpieczeństwa są niezbędne?

Nie ma jednej obowiązkowej listy, ale podstawy pokrywa sześć nagłówków: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy i Permissions-Policy. HSTS i X-Content-Type-Options najłatwiej dodać i rzadko cokolwiek psują. Content-Security-Policy jest najpotężniejszy, ale wymaga testów, więc zacznij od trybu report-only.

Dlaczego brak rekordu DMARC jest niebezpieczny?

Bez DMARC serwery pocztowe odbiorców nie mają instrukcji, co zrobić z wiadomościami fałszywie podającymi się za pochodzące z Twojej domeny. Atakujący mogą wysyłać Twoim klientom phishingowe maile wyglądające jak Twoje. W naszej próbie 49% domen (105 z 215) nie miało rekordu DMARC, a kolejne 33% (71) miało p=none, który tylko monitoruje i niczego nie blokuje.

Czy WordPress sam w sobie jest niebezpieczny?

Nie. W naszej próbie różnica wiąże się z wersjami wtyczek, motywów i rdzenia, a nie z samą platformą. Wersja wtyczki, motywu lub rdzenia pasowała do znanej podatności u 30% stron na WordPressie (15 z 50) wobec 4% pozostałych stron (7 z 165). Aktualizacje i usuwanie nieużywanych wtyczek eliminują te dopasowania. Część różnicy wynika z tego, że baza WordPressa jest bardziej szczegółowa.

Jak sprawdzić własną stronę?

Uruchom bezpłatny skan w PromoPilot Shield: pasywnie czyta odpowiedzi serwera, rekordy DNS i HTML strony głównej oraz pokazuje, których nagłówków i rekordów pocztowych brakuje i co zostało ujawnione niepotrzebnie. Nagłówki możesz też obejrzeć w narzędziach deweloperskich przeglądarki lub przez curl -I, a SPF i DMARC sprawdzić dowolnym narzędziem do zapytań DNS.

Czy małe strony potrzebują CAA i MTA-STS?

Zwykle to niski priorytet. CAA brakowało na 93% stron (200 z 215), a MTA-STS na 71% (152 z 215), ale praktyczne ryzyko jest niewielkie w porównaniu z brakiem DMARC, nieaktualnymi wtyczkami czy brakiem HSTS. Dodaj je, gdy podstawy są już zrobione, zwłaszcza jeśli obsługujesz wrażliwą pocztę lub płatności.

Jak cytować

PromoPilot (2026). Co zapominają strony: ustawienia bezpieczeństwa w 215 skanach Shield. Dane 16.07–06.11.2026. CC BY 4.0: https://promopilot.link/uploads/blog/research/site-security-0711/site-security-settings-2026-11-06.csv . Artykuł: https://promopilot.link/pl/blog/co-zapominaja-strony-ustawienia-bezpieczenstwa-215-skanow

Pobierz dane

Tabela zbiorcza (CSV, licencja CC BY 4.0): https://promopilot.link/uploads/blog/research/site-security-0711/site-security-settings-2026-11-06.csv. Zawiera wyłącznie procenty, bez domen.